X100 거버넌스 공격 분석: 플래시론·투표권 임대로 인한 국고 고갈과 거버넌스 안전성 5단계 점검

2026년 10월 24일, 이더리움 기반의 X100 글로벌 프로젝트가 플래시론(대출) 기반 거버넌스 공격을 받아 무너졌다. 공격자는 프로젝트의 ‘상원(Senate)’ 의석 3석 중 2석을 장악해 국고에 손을 대었고, 이후 X 토큰은 96% 폭락했다. 보안 기관 블록에이드(Blockaid)가 추적한 USDT 손실 규모는 약 485만 달러이며, 체인얼라이시스(Chainalysis)는 범행 자금이 ETH로 전환된 후 4개의 지갑으로 분산됐음을 확인했는데, 각 지갑에는 400 ETH씩 들어 있었다.

이 사건에서 진정 주목할 점은 공격 방식이다: 코드 취약점도 없었고, 개인 키 유출도 없었다. 공격자는 ‘합법적인 투표’만으로 자금을 옮겨갔다. 만약 당신의 포지션에 거버넌스 기능이 있는 토큰이 하나라도 있다면, 이 글의 체크리스트를 꼭 한 번 점검해보길 권한다.

공격은 어떻게 일어났나: 국고를 ‘합법적으로’ 텅 비우는 세 단계

블록에이드의 온체인 모니터링과 여러 기관의 복구 분석에 따르면, 공격 과정은 대략 다음과 같다:

1. 플래시론으로 거버넌스 토큰 차입. 공격자는 한 번의 트랜잭션 안에서 충분한 양의 X 토큰을 빌려 투표권을 확보했다. 이 대출은 같은 트랜잭션이 끝나기 전에 즉시 상환되므로, 공격자의 자기 자본은 거의 제로에 가까웠다.
2. 상원 의석 장악. X100 글로벌의 거버넌스는 총 3석의 ‘상원(Senate)’ 의석제를 채택하고 있으며, 공격자는 그중 2석을 확보해 다수결 통제권을 장악했다.
3. 단일 트랜잭션 내에서 제안 및 실행. 이 프로젝트의 거버넌스는 즉시 투표, 스냅샷 없음, 타임록 없음, 최소 보유 기간 없음을 허용한다. 따라서 제안부터 실행까지 모든 과정이 한 번의 트랜잭션 안에서 완료됐다: 국고에 보관된 X 토큰 40만 개를 공격자가 직접 만든 풀에 매도해 유동성을 흡수했고, 이후 또 다른 공격자가 프리저(Freezer) 계약의 유니스왑 V3 포지션을 소각했으며, 제3의 공격자가 동일한 상원 경로를 이용해 약 55만 개의 X 토큰 포지션을 빼갔다.

이것이 바로 ‘거버넌스 공격’의 무서운 점이다: 스마트 계약 코드는 완전히 정상일 수 있고, 투표 결과 역시 ‘진짜로 유효한’ 결과일 수 있지만, 결정권은 몇 초 만에 임대받을 수 있다. ‘거버넌스 통제권을 확보하는 비용’이 ‘국고 자산 가치’보다 낮아질 때, 공격은 경제적으로 합리적인 선택이 된다.

거버넌스 공격은 드물지 않다, 다만 헤드라인에 잘 오르지 않을 뿐

디파이라마가 공개한 사고 데이터셋 분류에 따르면, 2026년 현재까지 총 312건의 보안 사고가 기록됐으며, 이 중 ‘거버넌스(Governance)’로 분류된 건은 단 10건뿐이다. 수는 적지만, 단 한 건의 파괴력은 막대하다—왜냐하면 이 공격은 특정 풀의 가격 차익이 아니라 국고 전체를 직접 탈취하기 때문이다. X100은 이 데이터셋에서 별도로 ‘플래시론 거버넌스 공격(Flashloan Governance Attack)’으로 명시돼 있으며, 이 유형의 가장 전형적인 사례다.

이 때문에 거버넌스 공격은 쉽게 간과되기 쉽다: 공격자는 취약점 악용 코드를 작성할 필요도 없고, 피싱으로 개인 키를 탈취할 필요도 없다. 단지 거버넌스 설정에서 ‘임대 가능한 결정권’을 찾아내기만 하면 된다. 유사 사례로는 2022년의 에이프코인(ApeCoin)이 있다(같이 ‘플래시론 거버넌스 공격’으로 분류됨). 2026년 10월의 디파이 사고 목록에서 대부분은 가격 조작 사고였고, 거버넌스 공격은 이 한 건뿐이었지만, 단 한 차례로 약 500만 달러를 탈취했다.

프로토콜의 거버넌스가 안전한지 판단하는 다섯 가지 체크항목

X100의 거버넌스 결함은 매우 전형적이며, 반대로 말하면 바로 당신의 체크리스트가 된다. 국고를 보유한 프로토콜을 볼 때마다 다음 다섯 가지 질문을 먼저 던져보라:

1. 제안에 대한 투표 지지 여부를 스냅샷으로 확인하나? 투표권이 ‘현재 실시간 잔고’ 기준으로 산정되면, 플래시론으로 빌린 토큰도 투표에 사용 가능하다. 반면 역사적 블록 스냅샷(snapshot)이 존재하면, 빌린 토큰은 투표권을 갖지 않는다. X100은 전자에 해당한다.
2. 실행 타임록이 있나? 제안이 통과된 후 실행까지 일정 시간(보통 24–72시간)을 기다려야 하는데, 이것이 가장 중요한 완충 장치다—그 기간 동안 커뮤니티가 이상을 발견하고 자금을 빼낼 수 있다. X100은 타임록이 없어, 제안과 실행이 한 번의 트랜잭션 안에서 완료된다.
3. 최소 보유 기간이 있나? 투표권을 행사하려면 일정 기간 이상 보유해야 한다면, 플래시론 방식 자체가 무효화된다.
4. 국고 자금 이체에 어떤 권한이 필요한가? 국고는 단일 거버넌스 계약으로만 제어되는가, 아니면 멀티시그 + 타임록 구조인가? 한 번의 트랜잭션으로 전체 자산을 이체할 수 있는가?
5. 거버넌스 권한이 임대 가능한가? 거버넌스 토큰이 DEX에서 유동성이 풍부하고 잠금 조치가 없다면, 누구나 일시적으로 충분한 표를 살 수 있다.

위 다섯 항목 중 ‘스냅샷 없음 + 타임록 없음 + 최소 보유 기간 없음’이 동시에 성립한다면, 해당 프로토콜의 국고는 사실상 플래시론에 노출된 상태다.

일반 사용자로서 할 수 있는 것들

• 단순히 TVL과 APY만 보지 말 것. 높은 수익률은 종종 프로토콜이 급진적인 파라미터로 규모를 확보하려 한다는 뜻이며, 파라미터가 급진적일수록 조작 가능성도 커진다.
• 감사 보고서가 무엇을 커버했는지 확인할 것. 많은 감사는 계약 로직만 검토하고, 거버넌스 파라미터(스냅샷, 타임록 등)는 검토하지 않는다. 감사 통과 ≠ 거버넌스 안전.
• 타임록이 있는 프로토콜을 우선 선택할 것. 이는 가장 실용적인 하드 지표이며, 공개적으로 확인 가능하다.
• 단일 프로토콜에 큰 금액을 집중시키지 말 것. X100은 96% 폭락 후 유동성이 거의 사라졌고, 빠져나오지도 못했다.
• ‘거버넌스 긴급 제안’을 보면 즉시 철수할 것. 커뮤니티 포럼이나 X에서 비정상적인 제안이 나타날 때, 타임록은 당신에게 주어진 유일한 탈출 창구다. 타임록이 없는 프로토콜이라면, 당신은 사후에 후회만 남을 뿐이다.

탈취 유형과 배상 기록을 체계적으로 살펴보고 싶다면, 하드웨어 지갑 공급망 공격 복구 분석과 게이트(Gate.io) 보안 특별 점검에서 사용된 유사한 분석 방법을 참고할 수 있다: 먼저 과거 공개 기록을 확인하고, 다음으로 기술적 파라미터를 검토한 후, 마지막으로 홍보 문구를 살펴보라.

흔한 질문들

거버넌스 공격으로 훔친 돈은 되찾을 수 있나요?

확률은 매우 낮다. 공격자는 이미 스테이블코인을 ETH로 전환해 여러 지갑으로 분산시켰고, 온체인 추적은 주소만 식별할 수 있을 뿐 강제 회수는 불가능하다. 프로젝트 운영진이 별도의 자금 준비금을 보유하거나 거래소와 협력해 입금을 동결하지 않는 한, 기본적으로 영구적 손실로 간주된다.

X100의 X 토큰을 계속 보유해도 괜찮나요?

공개 자료에 따르면 X 토큰은 이미 96% 폭락했고 유동성은 거의 고갈된 상태다. 이런 토큰의 문제는 ‘반등할지 여부’가 아니라 ‘아무도 사줄지 여부’다—유동성이 없는 자산은 시세가 아무 의미가 없다. 어떤 ‘바닥 매수’ 결정도 커뮤니티 감정이 아닌 공개된 사실에 기반해야 한다.

왜 이것이 ‘계약 코드의 취약점’이 아니라고 하나요?

계약서가 설계된 대로 올바른 로직을 실행했고, 투표도 거버넌스 규칙을 충족했기 때문에 문제가 발생한 것입니다. 문제의 근본 원인은 거버넌스 매개변수 설계(스냅샷 없음, 타임록 없음)에 있습니다. 이로 인해 ‘합법적인 절차’가 공격 경로로 변질된 것이죠. 바로 이런 이유로 단순한 코드 감사만으로는 이를 발견할 수 없습니다.

대규모 프로토콜이라면 이런 문제가 없을까요?

아니요. 오히려 규모가 클수록 거버넌스 토큰의 유동성이 높아지고, 국고 규모 대비 티켓 임대 비용이 상대적으로 더 낮아질 수 있습니다. 다만 대규모 프로토콜은 일반적으로 타임록과 스냅샷을 도입해 공격 비용을 높이는 차이가 있을 뿐입니다.

DefiLlama 데이터는 직접 어떻게 확인하나요?

공개 데이터셋은 api.llama.fi/hacks에서 확인할 수 있으며, JSON 형식으로 날짜, 프로젝트명, classification(분류), technique(공격 수법), 금액, 블록체인 정보를 반환합니다. 여러분은 직접 연도와 분류별로 집계할 수 있고, 언론 보도에 의존하지 않아도 됩니다.

위험 고지: 암호화 자산 가격은 극심한 변동성을 보이며 원금 전액 손실 가능성이 있습니다. 본 문서는 투자 조언을 구성하지 않습니다. X100 사건 관련 세부 사항은 Blockaid 등 보안 기관의 공식 발표 및 프로젝트 측 후속 설명을 기준으로 하며, 손실 금액은 현재 집계 중으로 향후 변경될 수 있습니다. DefiLlama 데이터는 공개 데이터셋을 종합한 결과로, 통계 기준 및 언론 보도와 차이가 있을 수 있으므로 반드시 원본 데이터셋을 기준으로 확인하시기 바랍니다. DeFi 프로토콜은 스마트 컨트랙트, 거버넌스, 오라클 등 다중 위험 요소를 내포하고 있으므로, 이용자 본인이 직접 위험을 평가해야 합니다.